নিজের সার্ভার চালানো নতুন যে কারো জন্য একটি দীক্ষা-অনুষ্ঠান আছে: আপনি একটি firewall সেট করার সিদ্ধান্ত নেন, কয়েকটি ufw কমান্ড টাইপ করেন, enable চাপেন — আর আপনার terminal নীরব হয়ে যায়। SSH চলে গেছে। আপনি কিছু ক্র্যাশ করেননি, hack হননি। আপনি কেবল নিজেকে বাইরে রেখে দরজা লক করেছেন।
এটি ভালো sysadmin-দেরও হয়। এটি গত সপ্তাহে আমাদের এক গ্রাহকের হয়েছিল, এজন্যই আমি এটি লিখে রাখছি। সুখবর: এটি এক মিনিটের কম সময়ে সম্পূর্ণ recoverable, আর আপনার reinstall বা একটি ফাইলও হারানোর দরকার নেই। এই যে কীভাবে।
আসলে কী ভুল হলো
ufw (Uncomplicated Firewall) ডিফল্টে সব incoming deny করে। আপনি ufw enable চালানোর মুহূর্তে, আপনি যা স্পষ্টভাবে allow করেননি তা drop হয় — আপনি যে SSH সেশনে বসে আছেন তা সহ। আপনি আগে আপনার SSH পোর্ট ufw allow করতে ভুলে গেলে, নিয়মটি কার্যকর হওয়ার মুহূর্তে আপনি নিজের সংযোগ কেটেছেন।
সেটাই ক্লাসিক সংস্করণ। আরও দুটি ধরন আছে যা মানুষকে ধরে:
- আপনি ভুল পোর্ট allow করেছেন। টাইপো, বা আপনি সার্ভিস পোর্ট (ধরুন 8080) allow করে 22 ভুলে গেছেন।
- আপনি 22 allow করেছেন কিন্তু তারপর তালিকায় উঁচুতে একটি
denyনিয়ম সেট করেছেন যা এটিকে ছায়া দেয়। ufw ক্রম-সংবেদনশীল।
যেভাবেই হোক সার্ভার নিজে ঠিক — চলছে, ডিস্ক অক্ষত, আপনার app তখনও দেয়ালের পেছনে গুনগুন করছে। এটি নিছক একটি network-access সমস্যা। ঠিক এজন্যই সমাধান সহজ।
ভুল পদক্ষেপ: reinstall করা
প্রথম প্রবৃত্তি প্রায়ই "কেবল সার্ভার reset করে নতুন শুরু করি।" করবেন না — এর জন্য নয়। একটি reinstall একটি কাজের SSH ফিরে পেতে সবকিছু মুছে দেয়, যখন SSH block করা জিনিসটা একটি firewall কমান্ড যা আপনি দশ সেকেন্ডে undo করতে পারেন। আপনি সামনের দরজা লক করেছেন বলে ঘর পুড়িয়ে ফেলবেন।
Reinstall সঠিক পছন্দ যখন আপনি একটি পরিষ্কার slate চান। একটি ufw lockout-এর জন্য, এটি অতিরিক্ত।
সঠিক পদক্ষেপ: web console
প্রতিটি ভালো VPS আপনাকে একটি out-of-band console দেয় — মেশিনে ঢোকার একটি উপায় যা SSH-এর ওপর দিয়ে বা এমনকি network stack-এর ওপর দিয়ে যায় না। EQVPS-এ এটি আপনার সার্ভারের পেজে Console বোতাম। এটি একটি serial console: শুধু-টেক্সট, একটি monitor ও keyboard যেভাবে করত সেভাবে সরাসরি VM-এর সাথে সংযুক্ত। একটি firewall নিয়মের এর ওপর কোনো ক্ষমতা নেই, কারণ এটি network ট্র্যাফিক নয়।
এটিতে ক্লিক করুন, আপনার root credential দিয়ে log in করুন (বা কাছে না-থাকলে panel-এ password reveal করুন), আর আপনি বক্সে — firewall থাকুক বা না।
এবার ক্ষতি undo করুন। দ্রুততম পথ:
sudo ufw disable
তা firewall বন্ধ করে ও আপনার নিয়ম রাখে, তাই ভুল ঠিক করার পরে আপনি এটি পরে পুনরায় enable করতে পারেন। SSH সরাসরি ফিরে আসে।
আপনি firewall পুরোপুরি ফেলতে না চাইলে, কেবল আপনি যে পোর্ট মিস করেছেন তা খুলুন:
sudo ufw allow 22
sudo ufw status numbered
status numbered view দেখার মতো — এটি নিয়ম-ক্রম দেখায়, যেখানে "আমি 22 allow করেছি কিন্তু এটি তবুও block করে" কেসগুলো লুকায়। একটি deny আপনার allow-র উপরে বসলে, sudo ufw delete <number> দিয়ে এটি মুছুন।
বেশিরভাগ গাইড যে NAT খটকা মিস করে
আপনি একটি NAT প্ল্যানে থাকলে, এখানে একটি ফাঁদ। আপনি একটি উঁচু পোর্টে SSH করেন — 20266-র মতো কিছু — তাই স্বাভাবিক প্রবৃত্তি ufw allow 20266। তা কিছুই করে না।
NAT-এ, সেই external পোর্ট VM-এর ভেতরে পোর্ট 22-তে forward করা। ufw VM-এর ভেতরে চলে ও কখনও শুধু 22 দেখে। তাই আপনার আসলে যে নিয়ম লাগে:
sudo ufw allow 22
20266 allow করুন আর আপনি একটি এখনও-ভাঙা সংযোগের দিকে তাকিয়ে ভাববেন কেন। 22 allow করুন আর আপনি ঢুকলেন। যেকোনো সার্ভিসের জন্য একই ধারণা: process বক্সের ভেতরে যে পোর্টে listen করে তা allow করুন, বাইরে থেকে সংযুক্ত হওয়া forwarded পোর্ট নয়।
কীভাবে এটি আর কখনও করবেন না
সমাধান এক মিনিট নেয়, কিন্তু এটির দরকার না-হওয়া ভালো। দুটি অভ্যাস:
enable করার আগে আপনার SSH পোর্ট allow করুন। সবসময় এই ক্রমে:
sudo ufw allow 22
sudo ufw enable
উল্টো করুন আর আপনি console-এ ফিরে।
firewall নিয়ম বদলানোর সময় একটি দ্বিতীয় সেশন খোলা রাখুন। দুবার log in করুন। এক উইন্ডোতে পরিবর্তন করুন; SSH মরলে, অন্য উইন্ডো ঠিক করতে তখনও জীবিত। পুরনো কৌশল, প্রতিবার আপনাকে বাঁচায়।
আর আপনি একটি তাজা বক্স সেট করলে, আমাদের new-VPS security checklist ufw-কে সঠিক ক্রমে কভার করে, SSH key ও প্রথম দশ মিনিটে আসলে যা গুরুত্বপূর্ণ এমন মুষ্টিমেয় অন্য জিনিসের পাশাপাশি।
মোদ্দা কথা
একটি ufw lockout ভয়ঙ্কর দেখায় ও প্রায় কিছুই নয়। সার্ভার কখনও যায়নি; আপনার শুধু একটি দরজা দরকার যা একটি firewall বন্ধ করতে পারে না — web console — ও একটি কমান্ড। ufw disable ও console পকেটে রাখুন, পরের বার enable করার আগে আপনার পোর্ট allow করুন, আর আপনি এটি নিয়ে আর কখনও ঘামবেন না।
মন্তব্য
এখনো কোনো মন্তব্য নেই। প্রথম হোন।